Squid och dubblerade användarnamn över LDAP-kataloger

Om två oberoende kataloger båda innehåller alex, behöver proxyn ett katalogval innan den kontrollerar ett lösenord. Att försöka med A och sedan B döljer valet inne i autentiseringsfelet och kan förväxla en otillgänglig katalog med en avvisad hemlighet.

Två arrangemang kan göra identiteten explicit:

• Kvalificerad inloggning. Ett namn som [email protected] väljer via en utskickare en fast katalog som administratören har definierat. Behåll den kvalificerade identiteten för auktorisering och loggning. Gör inte ett klientlevererat suffix till en godtycklig LDAP-serveradress.
• Stabil betrodd förfrågningskontext. En lyssnare eller en annan stödd kontext väljer katalogen. Definiera vad som händer när en person flyttar sig eller använder en annan lyssnare; nätverksplats är inte personlig identitet.

Repliker av en katalog är annorlunda: de delar ett identitetsnamnrymd. Orelaterade kataloger blir inte repliker för att båda använder LDAP.

Låt Squids cachenyckel för inloggningsuppgifter stämma med hjälparens val. auth_param-referensen beskriver key_extras för att skicka extra kontext och ta med den i cachenyckeln, inklusive fallet med identiska namn som skiljs åt av lyssnarporten. Hjälparen måste förstå den utökade indata, och det valda makrot måste vara tillgängligt i det autentiseringssteget.

Föredra stabil kontext. En ofta ändrad klient-IP kan mångfaldiga cache-identiteter och ändra kontroller som förväntar sig en användaridentitet.

Definiera okänd katalog, okänt konto, avvisat lösenord och otillgänglig katalog var för sig. Norths konto får inte tyst bli Souths Alex när North är otillgänglig. Håll dessa utfall åtskiljbara i loggar utan att registrera lösenord.